Corte di Giustizia Ue: il sospetto di reato su una persona non basta a giustificare la raccolta sistematica dei suoi dati biometrici
Con la sentenza del 19 marzo 2026 nella causa C-371/24 (Comdribus), la Corte di giustizia dell'Unione europea torna a tracciare il delicato equilibrio tra esigenze di sicurezza pubblica e tutela dei diritti fondamentali, ribadendo un principio chiave: i dati biometrici sono dati particolarmente sensibili e, come tali, soggetti a un regime di protezione rafforzato.
Al centro della decisione vi è l’interpretazione dell’articolo 10 della Direttiva (UE) 2016/680, letto in combinato disposto con gli articoli 4 e 8 della stessa direttiva e con gli articoli 47 e 49 della Carta dei diritti fondamentali dell'Unione europea. La Corte chiarisce che la mera esistenza di “ragioni plausibili” per sospettare una persona della commissione di un reato non è sufficiente a giustificare la raccolta sistematica dei suoi dati biometrici.
Il caso: attivisti, identificazione e rifiuto - La vicenda trae origine da una manifestazione non autorizzata a Parigi, durante la quale alcuni attivisti climatici erano stati fermati dalla polizia. Uno di loro, pur avendo fornito le proprie generalità, si era rifiutato di sottoporsi ai rilievi dattiloscopici e fotografici e di comunicare il codice di sblocco del telefono. Il rifiuto gli era costato una condanna pecuniaria, poi sottoposta al vaglio della Corte di appello di Parigi, che ha investito della questione i giudici di Lussemburgo.
Stop alla raccolta “automatica” - La Corte Ue afferma con chiarezza che una normativa nazionale che preveda la raccolta sistematica dei dati biometrici di chiunque sia sospettato di un reato è incompatibile con il diritto dell’Unione, salvo due condizioni cumulative:
- le finalità della raccolta devono essere definite in modo specifico e preciso;
- l’autorità competente deve valutare caso per caso il requisito della “stretta necessità”.
Il principio di minimizzazione, sancito dall’articolo 4, paragrafo 1, lettera c), impone infatti che i dati siano “adeguati, pertinenti e non eccedenti” rispetto alle finalità perseguite. Non solo: il trattamento è lecito, ai sensi dell’articolo 8 della direttiva, solo se necessario per un compito specifico di prevenzione o repressione dei reati.
Ne deriva che la raccolta non può essere automatica né generalizzata, ma deve essere giustificata da circostanze concrete, valutando anche alternative meno invasive.
L’obbligo di motivazione - Un passaggio centrale della sentenza riguarda l’obbligo di motivazione. Le autorità devono spiegare, in ciascun caso, perché la raccolta dei dati biometrici sia “strettamente necessaria”. Non si tratta di un onere meramente formale: la motivazione è funzionale a garantire il diritto a un ricorso effettivo, tutelato dall’articolo 47 della Carta.
La Corte precisa che una motivazione anche sintetica è sufficiente, purché consenta all’interessato di comprendere le ragioni del trattamento e di contestarle davanti a un giudice. L’assenza di tale obbligo non può essere compensata da un controllo giurisdizionale successivo.
Sanzioni sì, ma proporzionate - Quanto alle conseguenze del rifiuto di sottoporsi alla raccolta, la Corte ammette la possibilità di sanzioni penali, ma a una condizione essenziale: che la raccolta dei dati sia conforme ai requisiti dell’articolo 10. In altre parole, non può esserci automatismo sanzionatorio.
Inoltre, la sanzione deve rispettare il principio di proporzionalità, richiamato dall’articolo 49 della Carta. È quindi necessario verificare, anche in questo caso, che la misura sia effettivamente necessaria e adeguata rispetto all’obiettivo perseguito.
Un equilibrio più rigoroso - La decisione segna un ulteriore passo verso un approccio rigoroso nella gestione dei dati biometrici in ambito penale. Il messaggio è chiaro: la sicurezza pubblica non può tradursi in una compressione indiscriminata dei diritti fondamentali.
Per gli Stati membri, e per le autorità di law enforcement, si tratta di un richiamo netto alla necessità di costruire sistemi normativi e prassi operative rispettosi dei principi di necessità, proporzionalità e trasparenza. Per i cittadini, invece, una conferma: anche nei contesti più delicati, la protezione dei dati personali resta un presidio irrinunciabile dello Stato di diritto.
Fonte: Corte di Giustizia UE
